Seguridad
El WAF solo hace su trabajo si el origen no puede alcanzarse por otro camino. Esta página reúne las decisiones de seguridad que quedan de tu lado y lo que asume NNumbers.
Protección del origen
El WAF no impide un ataque directo al origen. Si el hostname del servidor sigue resolviendo al público y acepta conexión desde cualquier lugar, un atacante habla con él sin pasar por la inspección — y el evento nunca aparece en la Console.
| Medida | Efecto |
|---|---|
| Restringir el origen a las direcciones de salida de NNumbers | Solo el tráfico de la borda alcanza el servidor |
| No publicar la dirección del origen en el DNS público | Reduce el descubrimiento directo |
| Mantener el firewall del origen cerrado al resto | Cierra la evasión |
| No usar el mismo hostname como origen de otro dominio protegido | Evita bucles y confusión de registro |
La lista de direcciones de salida se muestra en la Console. Es la fuente para la regla de firewall de tu origen, y no es una dirección única y fija: aplica la lista completa y revísala cuando cambie.
DNS y HTTPS
| Registro | Papel | Cuidado |
|---|---|---|
_nnwaf-challenge.<hostname> TXT | Prueba continua de propiedad | Mantenerlo mientras el dominio exista; 7 días ausente degrada el dominio |
_acme-challenge.<hostname> CNAME | Autoriza la emisión del certificado antes del cambio de tráfico | Crearlo antes del enrutamiento para evitar una ventana de error |
<hostname> CNAME, o A/AAAA en el apex | Lleva el tráfico a la borda | Cambiar solo después de que el certificado esté listo |
El certificado lo emite y lo renueva NNumbers, por Let's Encrypt. La verificación de TLS hasta el origen se hace siempre y no puede desactivarse: un origen con certificado vencido, autofirmado o con nombre divergente responde 502, incluso si la aplicación está en el aire.
Datos y retención
| Dato | Tratamiento |
|---|---|
| Eventos | Retenidos por 30 días |
| Métricas agregadas | Retenidas por 12 meses |
Authorization, cookies, cuerpos, query strings, tokens | No almacenados |
| Contenido de la respuesta de la aplicación | No inspeccionado ni almacenado |
| Cambios administrativos | Registrados en la auditoría de NNumbers |
El evento guarda lo suficiente para la decisión técnica — ruta, regla, puntuación, identificador — y deja fuera lo que identifica o autentica a una persona: credencial, cookie, cuerpo y parámetro de consulta.
Roles y auditoría
| Rol | Qué puede |
|---|---|
WAF Viewer (viewer) | Ver dominios, métricas y eventos |
WAF Editor (editor) | Ver, y administrar políticas, reglas y excepciones |
WAF Admin (admin) | Todo lo del Editor, más dominios, activación y ajustes sensibles |
Todo cambio administrativo se audita en la auditoría de NNumbers: quién cambió, qué cambió y cuándo. Eso incluye crear una excepción, cambiar una política y activar un dominio.
Responsabilidad compartida
| Tema | NNumbers | Tú |
|---|---|---|
| Borda, motor y conjunto de reglas | Opera, actualiza en versiones probadas, con retroceso disponible | — |
| Disponibilidad de la borda | Mantiene el servicio y aplica la última configuración válida | — |
| DNS | — | Mantienes los registros y la zona |
| Endurecimiento del origen | — | Restringes acceso, mantienes parches y TLS |
| Vulnerabilidades de la aplicación | — | Las corriges en el código |
| Falsos positivos | Proporciona eventos, excepciones y versión del conjunto | Ajustas excepciones y nivel de paranoia |
Las actualizaciones del conjunto de reglas llegan en versiones probadas y versionadas, y el retroceso es posible. La versión aplicada aparece en los eventos, para que correlaciones un bloqueo nuevo con un cambio de conjunto.
Limitaciones que afectan la seguridad
- Un ataque volumétrico de capa 3 y 4 no lo contiene el WAF: depende de la protección de red delante.
- El cuerpo de la respuesta no se inspecciona, así que los datos sensibles que devuelve la aplicación no los filtra el WAF.
- WebSocket pasa por la inspección inicial, pero los cuadros después del upgrade no se evalúan.
- La limitación de tasa vale por instancia de borda, así que no es un techo global rígido.
- Un cuerpo por encima del límite de la política se rechaza con 413; el límite no se ignora en silencio.
Próximos pasos
- Eventos y excepciones — auditoría del ajuste fino.
- Solución de problemas — 502 y certificado del origen.
- API — permisos y autenticación en el acceso programático.
Esta página ajudou?
Reportar um problema nesta páginaNão envie senhas, chaves, tokens ou dados de clientes.